Confianza y Seguridad

Controles técnicos vigentes hoy

Alineados con el Anexo A de ISO/IEC 27001

• ✓Cifrado en tránsito: toda comunicación con NormaLis usa HTTPS/TLS.
• ✓Cifrado en reposo: los datos en Firestore están cifrados en reposo por infraestructura de Google Cloud.
• ✓Control de acceso por IPS: reglas de seguridad a nivel de base de datos (no solo de aplicación) restringen cada dato al usuario propietario o a su equipo por NIT — un usuario de una IPS nunca puede leer datos de otra, incluso si hay un error en la interfaz.
• ✓Bitácora de seguridad inmutable: inicios de sesión, aprobación/rechazo de usuarios, gestión de llaves API y de accesos del equipo, cambios de roles, cada exportación (quién generó un PDF, un CSV o un Excel, y con qué filtros), cada registro eliminado de los módulos y cada vez que una cuenta entra a otra IPS autorizada quedan registrados en un log que ni siquiera un administrador puede editar o borrar una vez creado. De un registro eliminado se anota qué era y cuál, no su contenido.
• ✓Bitácora de gobernanza que el equipo no puede borrar: la bitácora que llena cada módulo con lo que hace el equipo no se puede eliminar desde la aplicación (solo un administrador de NormaLis, para casos de emergencia); un error se corrige con una entrada nueva. Se puede filtrar por persona, módulo y fechas, y exportar a CSV o PDF.
• ✓Roles del equipo: el titular de la cuenta puede activar el rol «Solo consulta» para quien necesite ver sin modificar. Se hace cumplir en las reglas de la base de datos, no solo en la pantalla: una persona en «Solo consulta» ve todo y no puede crear, modificar ni borrar datos de la IPS. Mientras el titular no lo active, todo el equipo conserva el acceso de siempre.
• ✓Llaves de API con hash: las llaves de la API de integraciones se almacenan solo como hash SHA-256 — NormaLis nunca guarda ni puede recuperar el valor original.
• ✓Límites de tasa (rate limiting): todos los endpoints públicos y la API de integraciones tienen límites de solicitudes para mitigar abuso y ataques automatizados.
• ✓Aislamiento por IPS a nivel de infraestructura: arquitectura multi-tenant donde cada IPS solo accede a su propia información institucional.
• ✓Proceso de reporte de vulnerabilidades: canal de divulgación responsable y proceso interno de respuesta a incidentes — ver la sección de contacto de seguridad más abajo.
• ✓Autenticación multifactor (MFA/TOTP) para cuentas administrativas: las cuentas con rol administrador deben enrolar un segundo factor (aplicación autenticadora, código TOTP) antes de poder iniciar sesión.
• ✓Respaldo de la base de datos: copia automática diaria conservada 7 días, recuperación a cualquier minuto de los últimos 7 días y protección contra el borrado accidental de la base completa. Cubre la información registrada en NormaLis; no incluye los archivos adjuntos (ver hoja de ruta).
• ✓Firma electrónica con sello criptográfico: los módulos de Firma y Consentimientos sellan cada firma con un HMAC-SHA256 generado del lado del servidor (clave nunca expuesta al navegador), conforme al Art. 7 de la Ley 527/1999. Incluye verificación de integridad para detectar si el contenido cambió después de firmarse. No equivale a la "firma digital" certificada (Ley 527/1999, arts. 2 lit. c y 28; PKI de una Entidad de Certificación Digital acreditada) — ver la nota legal en cada módulo.

Cómo usamos la inteligencia artificial

Qué hace, qué no hace y qué controles tiene hoy

NormaLis usa un modelo de lenguaje (Llama 3.1 8B, ejecutado en Cloudflare Workers AI) para ocho funciones de ayuda: el asistente de consulta normativa, el plan de acción de la autoevaluación, el análisis de incidentes, el borrador de brechas del PAMEC y las sugerencias de riesgos, causas raíz, CAPAs e informe de auditoría. Es un modelo pequeño: puede equivocarse y no consulta fuentes normativas en tiempo real.

• ✓La IA propone, la persona decide. No firma, no aprueba documentos, no envía nada a una autoridad y no calcula si tu IPS «pasa» una habilitación: los puntajes los calcula el código, no el modelo.
• ✓Lo que propone se ve como IA. Cada respuesta del asistente lleva su etiqueta y una nota de limitaciones. Los riesgos y CAPAs sugeridos nacen marcados «Sugerido por IA — sin revisar» hasta que alguien del equipo los edita o los confirma, y los borradores de análisis de incidentes y de brechas no cuentan como análisis del equipo hasta que la persona los guarda.
• ✓Menos datos hacia el modelo. Antes de enviar un texto se omiten los números que parecen documentos o teléfonos y los correos electrónicos. Es un filtro de mejor esfuerzo: no reconoce nombres de personas, por eso el asistente te pide no escribir datos de pacientes.
• ✓Acceso y abuso: cada uso exige sesión y tiene un límite por cuenta y por tamaño del texto.
• ✓Sin entrenamiento propio: NormaLis no entrena ni ajusta modelos con los datos de las IPS.
• ✓Un uso nuevo no sale sin revisión: hay una lista de control interna (datos, proveedor, revisión humana, avisos, pruebas) y una prueba automática que bloquea el despliegue si una función de IA nueva envía texto sin pasar por ese filtro.

Hoja de ruta

Lo que todavía falta por cerrar

• ○Copia de los archivos adjuntos (fotos de evidencia, documentos cargados): la base de datos ya tiene respaldo, pero los archivos guardados en el almacenamiento de archivos todavía no tienen una copia propia.
• ○Roles que alcancen a los archivos adjuntos y a las llaves de integración: hoy el rol «Solo consulta» limita los datos de la base, pero no los archivos adjuntos ni lo que una llave de API escriba por su cuenta (por eso crear llaves exige tener permiso de edición).
• ○Firma digital certificada (PKI) vía Entidad de Certificación Digital acreditada (Ley 527/1999, art. 28) — para IPS que requieran equivalencia plena a la firma manuscrita bajo el Art. 28 de la Ley 527/1999. Hoy NormaLis ofrece firma electrónica (Art. 7), no esta certificación.
• ○Escaneo automatizado de dependencias y vulnerabilidades en el proceso de integración continua.
• ○Revisión documentada de los términos del proveedor del modelo (qué conserva y para qué usa los textos que se le envían), para poder afirmarlo por escrito y no solo citarlo.
• ○Medir la supervisión humana de la IA: cuántas sugerencias el equipo confirma, edita o deja sin revisar, para saber si la revisión funciona en la práctica y no solo en el diseño.
• ○Sistema de Gestión de Seguridad de la Información (SGSI) documentado — política de seguridad, análisis de riesgos, Declaración de Aplicabilidad — como paso previo a evaluar una auditoría de certificación ISO/IEC 27001 con un organismo acreditado.

Subencargados del tratamiento

NormaLis opera sobre la siguiente infraestructura de terceros. El detalle completo de la base legal y el propósito de cada uno está en la Política de Privacidad.

Cumplimiento normativo colombiano

El tratamiento de datos personales de NormaLis cumple la Ley 1581/2012 (Habeas Data) y el Decreto 1377/2013. El detalle completo — finalidad, base legal, derechos del titular y retención — está en la Política de Tratamiento de Datos Personales.